Schermrecapture-aanvallen: valse documenten herkennen

Een schermrecapture-aanval is het fotograferen of filmen van een scherm waarop een vals of gestolen identiteitsdocument wordt getoond, in plaats van het fysieke origineel voor de camera te houden. De fraudeur laadt een gemanipuleerde ID-scan op een tweede toestel, richt de smartphone of webcam van het onboardingproces erop, en dient het resultaat in als "live" documentfoto. Dit artikel behandelt hoe u dit specifieke aanvalstype forensisch herkent — via moiré-patroonanalyse, het PAD/IAD-onderscheid en de ISO 30107-3-norm — en waar het past binnen een Nederlandse KYC-verificatieketen.

Handmatige controles missen dit patroon vaker dan compliance-teams beseffen. Volgens het ACFE 2024 Report to the Nations worden slechts 37% van alle documentfraudegevallen ontdekt via menselijke inspectie, met een gemiddelde ontdekkingstijd van 87 dagen. Een schermrecapture-poging die met het blote oog overtuigend oogt, laat wel degelijk meetbare digitale sporen na.

Wat is een schermrecapture-aanval precies?

Een schermrecapture-aanval (ook "replay attack" genoemd) is een presentatieaanval waarbij niet het fysieke document, maar een digitale weergave ervan aan de verificatiecamera wordt getoond. De fraudeur bewerkt een gescand of gefotografeerd identiteitsbewijs op een laptop of tablet — naam, foto of geboortedatum aangepast — en fotografeert vervolgens dat scherm met het toestel waarmee de KYC-sessie loopt.

Het onderscheid met directe documentfraude is belangrijk: het onderliggende document kan technisch onberispelijk gefotoshopt zijn, maar de presentatiemethode introduceert een tweede, onafhankelijke laag van artefacten. Een systeem dat alleen naar documentinhoud kijkt, mist dit signaal volledig; een systeem dat de opnamemodaliteit zelf analyseert, vangt het op ongeacht de kwaliteit van de onderliggende vervalsing.

Hoe verhoudt schermrecapture zich tot andere presentatieaanvallen?

Schermrecapture is één van vier hoofdtypen presentatieaanvallen, gerangschikt naar de moeite die een fraudeur moet doen. Elk type laat een ander forensisch spoor achter, wat direct de keuze van detectiemethode bepaalt.

Schermrecapture blijft aantrekkelijk voor minder technische fraudeurs omdat het geen speciale software vereist — alleen een tweede scherm en een camera, in tegenstelling tot injectie-aanvallen die virtuele camerastuurprogramma's of API-toegang nodig hebben. Dat maakt het een van de meest voorkomende presentatieaanvallen in onbewaakte onboardingflows.

Wat is het verschil tussen PAD en IAD?

Presentation Attack Detection (PAD) betreft fysieke aanvallen die daadwerkelijk voor de camera worden gehouden — een afgedrukte foto, een 3D-masker of een schermweergave; Injection Attack Detection (IAD) betreft software-aanvallen die de camera omzeilen en gemanipuleerde beelden rechtstreeks in de datastroom injecteren. Schermrecapture valt ondubbelzinnig onder PAD: er is een fysieke camera die een fysiek scherm fotografeert, ook al is de inhoud digitaal.

Dit onderscheid is niet louter academisch. Het Franse ANSSI-kwalificatiekader voor identiteitsverificatiediensten (PVID) vereist aantoonbare weerstand tegen beide aanvalsfamilies afzonderlijk — een systeem dat uitstekend scoort op PAD kan volledig blind zijn voor IAD, en omgekeerd (LSTI-certificering PVID). Voor compliance-teams betekent dit: vraag leveranciers expliciet naar hun dekking van beide categorieën, niet alleen naar een algemene "anti-spoofing"-claim.

Op EU-niveau trekt eIDAS 2.0 en de Europese Digitale Identiteitsportemonnee (EUDI Wallet) deze lijn door: de verordening vereist biometrische koppeling die zowel deepfakes als presentatieaanvallen detecteert, en ETSI TS 119 461 is de opkomende Europese certificeringsnorm die identiteitsverificatiediensten test op weerstand tegen injectie-aanvallen (Entrust, eIDAS 2.0-overzicht).

Hoe onthult moiré-patroonanalyse een schermrecapture?

Wanneer een camera een digitaal scherm fotografeert dat een document toont, ontstaat door interferentie tussen het pixelraster van het scherm en de sensor van de camera een moirépatroon — golvende, kleurrijke interferentielijnen die afwezig zijn wanneer een fysiek object rechtstreeks wordt gefotografeerd. Dit patroon is fysisch onvermijdelijk zodra twee regelmatige rasters (schermpixels en sensorpixels) elkaar overlappen op een net niet identieke schaal of hoek.

Het effect is academisch gedocumenteerd: het USENIX Security 2021-onderzoek "mID: Tracing Screen Photos via Moiré Patterns" toont aan dat moiré-artefacten betrouwbaar te detecteren en zelfs te herleiden zijn tot het specifieke schermmodel dat werd gefotografeerd (USENIX Security 2021). Detectiesystemen kijken daarnaast naar ondersteunende signalen: ongebruikelijke lichtreflecties (lcd-glans in plaats van matte papiertextuur), inconsistente randgeometrie waar de schermrand net buiten beeld valt, en pixelclusters die niet overeenkomen met het verwachte drukpatroon van een fysiek document (Mitek, document liveness detection).

Moirédetectie werkt het best als aanvullend signaal, niet als enige poortwachter. Hoge-resolutieschermen en zorgvuldige framing kunnen het patroon verzwakken; combinatie met randgeometrie- en reflectieanalyse compenseert die individuele zwakte.

Wat meet de ISO 30107-3-norm precies?

ISO/IEC 30107-3 is de internationale referentienorm voor het testen en rapporteren van presentatieaanvaldetectie, en definieert drie kernmetrics: APCER, BPCER en IAPMR. De norm specificeert geen enkele detectietechniek zelf, maar het testprotocol waarmee elke techniek — inclusief moiré-analyse — objectief gemeten wordt (ISO 30107-3).

• APCER (Attack Presentation Classification Error Rate): het percentage aanvalspresentaties dat ten onrechte als echt wordt geaccepteerd. Voor schermrecapture-detectie is dit het percentage schermweergaven dat het systeem mist.
• BPCER (Bona fide Presentation Classification Error Rate): het percentage echte, legitieme presentaties dat ten onrechte wordt geweigerd — de valse-afwijzingskost die gebruikersfrictie veroorzaakt.
• IAPMR (Imposter Attack Presentation Match Rate): specifiek voor biometrische systemen, het percentage waarbij een aanvalspresentatie ook nog eens matcht met een geregistreerde identiteit.

Een leverancier die alleen een algemeen "detectiepercentage" opgeeft zonder APCER/BPCER-uitsplitsing per aanvalstype, laat zich niet objectief vergelijken met een concurrent die wel volgens ISO 30107-3 rapporteert. Vraag bij elke evaluatie naar testresultaten die schermrecapture als apart geteste aanvalscategorie vermelden, niet alleen naar een samengevoegd totaalcijfer.

Hoe past dit in het Nederlandse regelgevend kader?

De Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) verplicht instellingen om de echtheid te verifiëren van identiteitsdocumenten die op afstand worden aangeleverd — een verplichting die zich niet beperkt tot documentinhoud, maar zich uitstrekt tot de wijze van presentatie. De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) houden toezicht op naleving bij respectievelijk banken/verzekeraars en kapitaalmarktpartijen; beide schrijven geen specifieke techniek voor, maar verwachten aantoonbaar risicosensitieve controles.

De Autoriteit Persoonsgegevens (AP) houdt daarnaast toezicht op de verwerking van biometrische en documentgegevens bij verificatie op afstand. Instellingen die presentatieaanvaldetectie inzetten, verwerken doorgaans aanvullende beeldsignalen (moirépatronen, reflectiedata); dit valt binnen de reikwijdte van de AVG en vereist documentatie in het verwerkingsregister, net als bij liveness detection voor gezichtsverificatie.

Overheidsvoorlichting bevestigt impliciet waarom dit risico reëel is: de Rijksoverheid raadt burgers expliciet af om foto's van identiteitsdocumenten te delen bij online transacties, juist omdat zulke digitale kopieën vervolgens weer voor een camera kunnen worden gehouden (Rijksoverheid, fraude met kopie ID-bewijs). Verschillende consumentplatforms wijzen inmiddels expliciet "scans, fotokopieën of foto's van een computerscherm" af als geldige verificatiemethode — een indirecte erkenning dat schermrecapture in de praktijk wordt geprobeerd, ook buiten gereguleerde KYC-contexten.

Hoe integreert schermrecapture-detectie in een volledige KYC-flow?

Schermrecapture-detectie is één laag in een gelaagde verificatieketen, niet een standalone beslissing. Een robuuste onboardingflow combineert documentcapture-analyse (moiré, randgeometrie, reflectie) met liveness detection voor gezichtsverificatie, die eenzelfde PAD/IAD-onderscheid hanteert maar dan toegepast op het gezicht in plaats van het document.

Een kritiek architectuurpunt: het systeem moet verifiëren dat de documentcapture en de biometrische liveness-check in dezelfde sessie plaatsvinden. Zonder die session binding kan een aanvaller een schermrecapture van het document combineren met een apart, wél legitiem liveness-resultaat, en zo de zwakste schakel van elke afzonderlijke controle uitbuiten. Een vergelijking van beide controlelagen — waar ze overlappen en waar ze elkaar aanvullen — helpt bij het ontwerpen van die architectuur.

Voor teams die breder willen kijken dan één techniek: een schermrecapture kan ook een volledig AI-gegenereerd brondocument tonen, wat een tweede, onafhankelijke detectielaag rechtvaardigt naast de opnamemodaliteit-check.

Wat is het verschil tussen schermrecapture-detectie en andere forensische technieken?

Schermrecapture-detectie richt zich op de opnamemodaliteit (hoe het beeld is vastgelegd), terwijl technieken als Error Level Analysis en EXIF-metadata-onderzoek zich richten op het bestand zelf (of het na opname is gewijzigd). Deze technieken zijn complementair, niet inwisselbaar.

Geen van deze technieken dekt op zichzelf alle scenario's. Een fraudeur die één controle omzeilt — bijvoorbeeld door een scherprecapture met een hoge-resolutiescherm te maken om moiré te minimaliseren — laat doorgaans elders sporen achter, zoals inconsistente randgeometrie of ontbrekende sensormetadata.

Hoe kiest u een oplossing die schermrecapture betrouwbaar detecteert?

Vraag bij elke leverancierselectie naar drie zaken: geteste APCER/BPCER-cijfers specifiek voor schermrecapture als aanvalscategorie, expliciete IAD-dekking naast PAD, en EU-datahosting conform AVG. Een marketingclaim van "anti-spoofing" zonder onderliggende ISO 30107-3-testresultaten is niet te verifiëren en dus niet bruikbaar als aanbestedingscriterium.

CheckFile past een meerlaagse analyse toe — structureel, metadata, consistentie tussen documenten — aangevuld met een laag van AI-generatiesignalen die volgens klantconfiguratie wordt ingezet, met een latentie afgestemd op interactieve KYC-workflows. Het platform ondersteunt meer dan 3.200 documenttypes, 24 OCR-talen en 32 jurisdicties, met een streef-uptime SLA van 99,94%. Bekijk de toepassing voor bancaire KYC-onboarding en raadpleeg onze tarieven. Voor de volledige verificatiemethodologie, zie onze gids voor documentverificatie.

Geen enkele oplossing behaalt 100% detectie. CheckFile vergroot de dekking door structurele analyse, metadata-controle en AI-generatiesignalen te combineren als aanvulling op uw bestaande controles. Voor een gerichte blik op hoe deze signalen samenkomen tegen AI-gegenereerde en gemanipuleerde documenten, zie detectie van door AI gegenereerde en vervalste documenten — of neem contact op om uw huidige onboardingflow te laten doorlichten.

Veelgestelde vragen

Wat is een schermrecapture-aanval bij documentverificatie?

Een schermrecapture-aanval is het fotograferen of filmen van een scherm waarop een vals of gestolen identiteitsdocument wordt getoond, in plaats van het fysieke origineel voor de verificatiecamera te houden. De fraudeur omzeilt zo de aanname dat elke ingediende foto rechtstreeks een fysiek object vastlegt.

Hoe onderscheid je een schermrecapture van een echte documentfoto?

Het belangrijkste forensische signaal is een moirépatroon — interferentielijnen die ontstaan wanneer een camerasensor het pixelraster van een scherm vastlegt. Aanvullende signalen zijn lcd-glans in plaats van papiertextuur, inconsistente randgeometrie en het ontbreken van verwachte sensormetadata.

Is schermrecapture hetzelfde als een injectie-aanval?

Nee. Schermrecapture is een presentatieaanval (PAD): er is een fysieke camera die een fysiek scherm fotografeert. Een injectie-aanval (IAD) omzeilt de camera volledig door gemanipuleerde beelden rechtstreeks in de datastroom te injecteren via virtuele camerasoftware. Beide vereisen aparte detectiemaatregelen.

Welke norm regelt het testen van schermrecapture-detectie?

ISO/IEC 30107-3 is de internationale referentienorm voor het testen en rapporteren van presentatieaanvaldetectie, met de metrics APCER, BPCER en IAPMR. De norm test methodologie, niet een specifieke techniek — moirédetectie wordt binnen dat kader geëvalueerd als één van meerdere mogelijke detectiemethoden.

Moeten Nederlandse instellingen dit specifiek controleren onder de Wwft?

De Wwft schrijft geen specifieke techniek voor, maar verplicht instellingen tot risicosensitieve controle van op afstand aangeleverde identiteitsdocumenten. DNB en AFM verwachten aantoonbare, gedocumenteerde maatregelen tegen bekende omzeilingsmethoden zoals schermrecapture, vooral bij onbewaakte onboardingflows met een hoger risicoprofiel.